Техническая информация
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\sdksampleprivdeveloper.cer
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\howto-index.html
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\tree_view.html
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\trivial-merge.htm
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\__psscriptpolicytest_zpzqeqpb.yxb.ps1
- %TEMP%\service.vbs
- %TEMP%\win.ps1
- %TEMP%\content\2656-2588-<Имя файла>.exe-23-56-28-370.dump
- %TEMP%\key.log
- %TEMP%\indicate
- %TEMP%\content\2656-2588-<Имя файла>.exe-23-56-16-455.dump
- %TEMP%\content\532-4832-wscript.exe-23-56-33-108.dump
- %TEMP%\4sdrjmr1\4sdrjmr1.dll
- %TEMP%\4sdrjmr1\csc64e712c29d41475abce7b47464ec497.tmp
- %TEMP%\4sdrjmr1\4sdrjmr1.out
- %TEMP%\4sdrjmr1\4sdrjmr1.cmdline
- %TEMP%\4sdrjmr1\4sdrjmr1.0.cs
- %TEMP%\content\2656-2588-<Имя файла>.exe-23-56-06-406.dump
- %TEMP%\__psscriptpolicytest_yvlo05se.k22.psm1
- %TEMP%\res13a8.tmp
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
Изменяет следующие файлы
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\about.htm
- %HOMEPATH%\desktop\about.html
- %HOMEPATH%\desktop\api-hashmap.html
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\google chrome.lnk
- %HOMEPATH%\desktop\microsoft edge.lnk
- %HOMEPATH%\desktop\telegram.lnk
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'di##ord.com':443
TCP
Другие
- 'di##ord.com':443
UDP
- DNS ASK di##ord.com
Другое
Ищет следующие окна
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%TEMP%\service.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NonI -NoP -Exec Bypass -W Hidden -File "%TEMP%\win.ps1"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\4sdrjmr1\4sdrjmr1.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13A8.tmp" "%TEMP%\4sdrjmr1\CSC64E712C29D41475ABCE7B47464EC497.TMP"' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NonI -NoP -Exec Bypass -W Hidden -File "%TEMP%\win.ps1"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\4sdrjmr1\4sdrjmr1.cmdline"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13A8.tmp" "%TEMP%\4sdrjmr1\CSC64E712C29D41475ABCE7B47464EC497.TMP"
